したがって、ALAS2023-2026-1648 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    @isaacs/brace-expansion は、brace-expansion のハイブリッド CJS/ESM TypeScript フォークです。バージョン 5.0.1より前では、@isaacs/brace-expansionは、無制限のブレース範囲拡張によって引き起こされるサービス拒否(DoS)の問題に対して脆弱です。攻撃者が繰り返される数値中括弧範囲を含むパターンを提供すると、ライブラリは、考えられるすべての組み合わせを熱心に同期的に生成しようとします。拡張が指数関数的に増加するため、小さな入力でも CPU とメモリを過剰に消費し、Node.jsプロセスがクラッシュする可能性があります。
    この問題には、バージョン 5.0.1 でパッチが適用されています。(CVE-2026-25547)

    nghttp2は、Cのハイパーテキスト転送プロトコルバージョン2の実装です。バージョン 1.68.1より前では、nghttp2ライブラリは、アプリケーションがユーザーに向けたパブリックAPI「nghttp2_session_terminate_session」または「nghttp2_session_terminate_session2」を呼び出すと、受信データの読み取りを停止します。
    これらは、接続エラーの対象となる状況を検出したときに、ライブラリによって内部的に呼び出される場合があります。内部状態検証がないため、これらの API の 1 つが呼び出された後に、ライブラリが残りのデータを読み続けます。次に、FRAME_SIZE_ERROR原因となる無効な形式のフレームを受信すると、アサーション失敗が発生します。nghttp2 v1.68.1では、アサーション失敗を回避するために欠落している状態検証が追加されています。利用可能な既知の回避策はありません。(CVE-2026-27135)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1648)

critical Nessus プラグイン ID 315650

バージョン 1.1